Nel servizio di integrazione continua Travis CI, progettato per il test e la compilazione di progetti sviluppati su GitHub e Bitbucket, è stato identificato un problema di sicurezza (CVE-2021-41077) che consente di scoprire il contenuto delle variabili d'ambiente riservate nei repository pubblici che utilizzano Travis CI. Inoltre, la vulnerabilità consente di ottenere le chiavi utilizzate in Travis CI per generare firme digitali, chiavi d'accesso e token per l'accesso all'API.
Il problema è stato presente in Travis CI dal 3 al 10 settembre. È interessante notare che le informazioni sulla vulnerabilità sono state comunicate agli sviluppatori il 7 settembre, ma in risposta è giunta solo una nota che consigliava di utilizzare la rotazione delle chiavi. Non ricevendo un riscontro adeguato, i ricercatori hanno contattato GitHub e hanno proposto di mettere Travis nella lista nera. Il problema è stato risolto solo il 10 settembre dopo un gran numero di lamentele da vari progetti. Dopo l'incidente, sul sito dell'azienda Travis CI è stato pubblicato un rapporto piuttosto strano sul problema, in cui invece di informare sulla correzione della vulnerabilità, era contenuta solo la raccomandazione, proposta fuori contesto, di cambiare ciclicamente le chiavi d'accesso.
Dopo l'indignazione espressa da alcuni grandi progetti riguardo l'occultamento delle informazioni, è stato pubblicato nel forum di supporto di Travis CI un rapporto più dettagliato, in cui si avvertiva che il proprietario di un fork di qualsiasi repository pubblico, inviando una pull request, poteva avviare il processo di compilazione e ottenere accesso non autorizzato alle variabili d'ambiente riservate del repository originale, esposte durante la compilazione in base ai campi del file '.travis.yml' o definite tramite l'interfaccia web di Travis CI. Tali variabili sono memorizzate in forma crittografata e vengono decifrate solo durante la compilazione. Il problema riguardava solo i repository pubblicamente accessibili che avevano fork (i repository privati non erano vulnerabili agli attacchi).
Fonte: opennet.ru
